멀웨어 헌팅, 은밀한 범용 루트킷 로더 밝혀내다

요약

새로 발견된 Microsoft 서명된 루트킷 로더는 공격자가 손상된 시스템에 서명되지 않은 커널 모듈을 배포할 수 있게 합니다. 이 악성코드는 첫 번째 단계의 드라이버를 사용하여 C2 인프라와 통신하고 두 번째 단계의 플러그인을 메모리에 직접 로드합니다. 이러한 은밀한 실행 모델은 디스크 기반 탐지를 우회하면서 높은 권한의 커널 수준 접근을 유지하는 데 도움을 줍니다.

조사

연구진은 합법적인 Microsoft 서명을 얻기 위해 Windows 하드웨어 호환성 프로그램(WHCP)을 악용한 서명된 드라이버 클러스터를 식별했습니다. 조사는 서명된 로더가 사용자 정의된 서명되지 않은 커널 드라이버를 주입하는 이중 단계 실행 모델을 밝혀냈습니다. 코드 및 인프라 분석은 이전에 문서화된 FiveSys 루트킷과의 유사점을 또한 밝혀냈습니다.

완화 조치

조직은 수상하거나 승인되지 않은 커널 모드 드라이버 로딩과 보안 서비스에 영향을 미치는 예상치 않은 레지스트리 수정 사항을 모니터링해야 합니다. 메모리 전용 모듈 로딩을 식별할 수 있는 엔드포인트 감지를 배포하는 것이 이 활동을 탐지하는 데 중요한 역할을 합니다. 알려지지 않거나 신뢰할 수 없는 공급업체로부터 WHCP 서명된 드라이버 사용을 제한하면 노출 위험을 더욱 줄일 수 있습니다.

대응

이 활동이 탐지될 경우, C2 통신을 중단하고 횡방향 이동을 방지하기 위해 영향을 받은 시스템을 격리하세요. 메모리 포렌식을 수행하여 디스크에 절대 기록되지 않을 수 있는 주입된 커널 모듈을 식별합니다. 이미지 파일 실행 옵션과 보안 정책에 대한 비인가된 변경 사항에 특히 주의를 기울여 레지스트리 무결성을 검토하세요.

시뮬레이션 실행

• 공격 서사 & 명령: 공격자는 악성 드라이버와 통신하여 자신의 존재를 숨기는 루트킷 구성 요소를 배포할 계획입니다. 전통적인 파일 기반 탐지를 우회하기 위해, 공격자는 PowerShell 스크립트를 활용하여 커널에 사이드로드된 드라이버와 상호작용하는 “Land-off-the-Land” 접근 방식을 사용합니다. 이 스크립트는 특히 IRP_MJ_DEVICE_CONTROL 핸들러에 수정된 IOCTL(I/O 제어) 코드를 보내, 식별된 루트킷 로더의 통신 패턴을 모방하여 명령 제어 채널을 설정하고 보안 기능을 비활성화합니다.

• 회귀 테스트 스크립트:

  # 루트킷 로더 드라이버 커뮤니케이션을 모방하는 시뮬레이션 스크립트
  # 참고: 이 코드는 특정 패턴에 응답하는 드라이버 또는 모의 드라이버를 통해 IRP 핸들러 호출을 시뮬레이트해야 합니다.
  
  $SymbolicName = "x1cx1c??x1ceae971b87"
  Write-Host "[+] $SymbolicName과(와) 함께 드라이버 상호작용을 시뮬레이팅합니다."
  
  # 실제 상황에서는 P/Invoke를 통해 DeviceIoControl을 호출해야 합니다.
  # 시뮬레이션/테스트 목적으로는 텔레메트리 트리거를 시뮬레이트합니다.
  $signature = @{
      SymbolicName = "x1cx1c??x1ceae971b87"
      IOControlHandler = "IRP_MJ_DEVICE_CONTROL"
      ShutdownHandler = "IRP_MJ_SHUTDOWN"
  }
  
  Write-Host "[+] 탐지를 트리거하기 위해 수정된 IOCTL을 보내고 있습니다..."
  # 특정 SymbolicName에 대한 커널 이벤트 생성 시뮬레이션의 논리
  # 이 부분은 특정 로그 항목을 트리거하기 위한 BAS 에이전트의 개념적인 부분입니다.
  New-EventLog -LogName "Microsoft-Windows-Sysmon" -Source "Sysmon" # 모킹 트리거

• 정리 명령:

  # 임시 파일이나 시뮬레이션된 드라이버 아티팩트를 제거합니다
  Remove-Item -Path "$env:TEMProotkit_sim.tmp" -ErrorAction SilentlyContinue
  Write-Host "[+] 정리 완료."